- Специальный корреспондент
Новый троян BrowserVenom наводит хаос в браузерах по всему миру.
Пока популярность языковых моделей продолжает расти, киберпреступники всё активнее используют эту волну для своих атак. В частности, объектом новой вредоносной кампании стал DeepSeek-R1 — один из самых востребованных ИИ-инструментов на сегодняшний день. Пользователи, стремясь найти чат-бот на базе этой модели, нередко попадают на вредоносные сайты, замаскированные под официальные ресурсы.
Специалисты Лаборатории Касперского очередную волну атак с использованием поддельного установщика DeepSeek-R1, распространяемого через фишинговый сайт, который активно продвигался в результатах Google-поиска с помощью рекламы. Визуально сайт почти не отличался от оригинала и автоматически определял операционную систему посетителя. Для пользователей Windows отображалась кнопка «Try now», ведущая к экрану с на поддельной странице — якобы для защиты от ботов.
После прохождения CAPTCHA пользователь попадал на страницу с кнопкой «Download now», по нажатию на которую скачивался исполняемый файл AI_Launcher_1.21.exe с другого поддельного домена. Внутри этого установщика скрывался следующий этап заражения. При запуске файл отображал ещё одну поддельную CAPTCHA и предлагал установить сторонние ИИ-программы вроде Ollama или LM Studio. Но параллельно выполнялась скрытая функция MLInstaller.Runner.Run(), активирующая вредоносный модуль.
На первом этапе исполнялась зашифрованная PowerShell-команда, исключающая папку пользователя из области действия Microsoft Defender. Алгоритм шифрования — AES-256-CBC, ключ и IV были жёстко закодированы в теле вредоносного файла. Команда требовала прав администратора, без которых выполнение невозможно.
Затем выполнялся второй скрипт PowerShell, скачивающий вредоносный исполняемый файл с домена, сформированного с помощью простого DGA-механизма. Скачанный файл сохранялся в папке «Музыка» под именем 1.exe и запускался. На момент анализа активным был только один домен — app-updater1[.]app, но его функциональность уже отсутствовала, что указывает на потенциальную подготовку следующей стадии заражения.
Третий этап заключался в расшифровке второго исполняемого файла, закодированного в теле установщика, и его запуске в памяти. Этот модуль получил имя BrowserVenom и стал ключевым компонентом всей кампании. Основная цель — перехват всего интернет-трафика пользователя путём перенастройки браузеров на работу через прокси, управляемый злоумышленниками.
BrowserVenom сначала проверял, обладает ли процесс правами администратора. В случае успеха устанавливался сертификат злоумышленников в системное хранилище доверенных корневых центров сертификации. Затем происходила модификация параметров популярных браузеров: Chromium-браузеры, включая Chrome, Edge, Opera, Brave и другие, перенастраивались через добавление аргумента --proxy-server, а ссылки (LNK-файлы) — автоматически переписывались. Для Firefox и Tor Browser вносились изменения в профиль пользователя.
Прокси-сервер злоумышленников располагался по адресу 141.105.130[.]106, порт — 37121. Дополнительно к User-Agent браузеров добавлялись идентификатор кампании (LauncherLM) и случайно сгенерированная строка (HWID), что позволяло отслеживать жертв.
Код фишинговых страниц содержал комментарии на русском языке. География заражений подтверждает широкую распространённость атаки: случаи зафиксированы в Бразилии, Кубе, Мексике, Индии, Непале, Южной Африке и Египте.
Угроза, получившая детект как HEUR:Trojan.Win32.Generic и Trojan.Win32.SelfDel.iwcv, показывает, насколько эффективно злоумышленники эксплуатируют интерес к ИИ. Использование как инструмента продвижения вредоносной ссылки делает кампанию особенно опасной для широкой аудитории — особенно в случае, если пользователь не проверяет URL и сертификаты загружаемого ПО.
Чтобы защититься от подобных атак, необходимо проверять, действительно ли сайт принадлежит разработчику модели, на которую ссылается ссылка. Даже топовое место в поисковой выдаче сегодня может привести к компрометации системы.
Пока популярность языковых моделей продолжает расти, киберпреступники всё активнее используют эту волну для своих атак. В частности, объектом новой вредоносной кампании стал DeepSeek-R1 — один из самых востребованных ИИ-инструментов на сегодняшний день. Пользователи, стремясь найти чат-бот на базе этой модели, нередко попадают на вредоносные сайты, замаскированные под официальные ресурсы.
Специалисты Лаборатории Касперского очередную волну атак с использованием поддельного установщика DeepSeek-R1, распространяемого через фишинговый сайт, который активно продвигался в результатах Google-поиска с помощью рекламы. Визуально сайт почти не отличался от оригинала и автоматически определял операционную систему посетителя. Для пользователей Windows отображалась кнопка «Try now», ведущая к экрану с на поддельной странице — якобы для защиты от ботов.
После прохождения CAPTCHA пользователь попадал на страницу с кнопкой «Download now», по нажатию на которую скачивался исполняемый файл AI_Launcher_1.21.exe с другого поддельного домена. Внутри этого установщика скрывался следующий этап заражения. При запуске файл отображал ещё одну поддельную CAPTCHA и предлагал установить сторонние ИИ-программы вроде Ollama или LM Studio. Но параллельно выполнялась скрытая функция MLInstaller.Runner.Run(), активирующая вредоносный модуль.
На первом этапе исполнялась зашифрованная PowerShell-команда, исключающая папку пользователя из области действия Microsoft Defender. Алгоритм шифрования — AES-256-CBC, ключ и IV были жёстко закодированы в теле вредоносного файла. Команда требовала прав администратора, без которых выполнение невозможно.
Затем выполнялся второй скрипт PowerShell, скачивающий вредоносный исполняемый файл с домена, сформированного с помощью простого DGA-механизма. Скачанный файл сохранялся в папке «Музыка» под именем 1.exe и запускался. На момент анализа активным был только один домен — app-updater1[.]app, но его функциональность уже отсутствовала, что указывает на потенциальную подготовку следующей стадии заражения.
Третий этап заключался в расшифровке второго исполняемого файла, закодированного в теле установщика, и его запуске в памяти. Этот модуль получил имя BrowserVenom и стал ключевым компонентом всей кампании. Основная цель — перехват всего интернет-трафика пользователя путём перенастройки браузеров на работу через прокси, управляемый злоумышленниками.
BrowserVenom сначала проверял, обладает ли процесс правами администратора. В случае успеха устанавливался сертификат злоумышленников в системное хранилище доверенных корневых центров сертификации. Затем происходила модификация параметров популярных браузеров: Chromium-браузеры, включая Chrome, Edge, Opera, Brave и другие, перенастраивались через добавление аргумента --proxy-server, а ссылки (LNK-файлы) — автоматически переписывались. Для Firefox и Tor Browser вносились изменения в профиль пользователя.
Прокси-сервер злоумышленников располагался по адресу 141.105.130[.]106, порт — 37121. Дополнительно к User-Agent браузеров добавлялись идентификатор кампании (LauncherLM) и случайно сгенерированная строка (HWID), что позволяло отслеживать жертв.
Код фишинговых страниц содержал комментарии на русском языке. География заражений подтверждает широкую распространённость атаки: случаи зафиксированы в Бразилии, Кубе, Мексике, Индии, Непале, Южной Африке и Египте.
Угроза, получившая детект как HEUR:Trojan.Win32.Generic и Trojan.Win32.SelfDel.iwcv, показывает, насколько эффективно злоумышленники эксплуатируют интерес к ИИ. Использование как инструмента продвижения вредоносной ссылки делает кампанию особенно опасной для широкой аудитории — особенно в случае, если пользователь не проверяет URL и сертификаты загружаемого ПО.
Чтобы защититься от подобных атак, необходимо проверять, действительно ли сайт принадлежит разработчику модели, на которую ссылается ссылка. Даже топовое место в поисковой выдаче сегодня может привести к компрометации системы.
